Von Mauricio Moreno
Das neue Gesetz Nr. 21.719 über den Schutz und die Verarbeitung personenbezogener Daten tritt am 1. Dezember 2026 in Kraft und wird die Art und Weise, wie Unternehmen mit diesen Daten umgehen müssen, grundlegend verändern. Jahrelang haben viele Organisationen erst gehandelt, nachdem das Problem bereits eingetreten war: Sie korrigierten eine falsche E-Mail-Sendung, änderten Passwörter nach einem Datenleck oder überprüften ihre Verträge, als eine Beschwerde einging.
Die wichtigste Neuerung des Gesetzes besteht im sogenannten „Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen“ (Datenschutz von Anfang an), wodurch der Fokus von einer reaktiven Perspektive auf eine präventive verlagert wird. Im Folgenden schlage ich drei wesentliche Fragen vor, damit sich Unternehmen auf diese neuen Herausforderungen vorbereiten können:
Welche Daten verwalte ich und wie verarbeite ich sie?
Um den Datenschutz von Beginn an zu implementieren, müssen Unternehmen einen vollständigen Überblick über ihre Datenverarbeitungsvorgänge haben. Dies erfordert die Identifizierung, welche Daten sie erheben, zu welchem Zweck sie diese speichern, wo sie aufbewahrt werden und wer darauf zugreifen kann. Ausgehend von dieser Landkarte ist es möglich, eine solide und verteidigbare Datenstruktur aufzubauen.
Welche Herausforderungen bringt die Unternehmensgröße mit sich?
Alle Unternehmen müssen das neue Gesetz einhalten; die Anforderungen bringen jedoch je nach Unternehmensgröße unterschiedliche Herausforderungen mit sich. So kann beispielsweise ein KMU damit beginnen, einen internen Verantwortlichen zu benennen, ein einfaches Verzeichnis zu erstellen, Zugriffsberechtigungen abzugrenzen, Löschfristen festzulegen und ein Verfahren zur Reaktion auf Vorfälle einzurichten. Ein Großunternehmen hingegen muss Tochtergesellschaften, Altsysteme (Legacy-Systeme) und großflächige Dienstleister koordinieren.
Kleinere Unternehmen verfügen während der ersten 12 Monate nach Inkrafttreten über eine Übergangsregelung: Wenn eine Sanktion verhängt werden muss, kann die Behörde stattdessen eine schriftliche Verwarnung aussprechen. Dies stellt keine Immunität gegenüber Geldbußen dar, da die Norm das Verb „kann“ verwendet und die Verwarnung zudem registriert wird. Daher sollte diese Flexibilität als Chance zur Anpassung verstanden werden, nicht als Erlaubnis, die Einhaltung aufzuschieben.
Was lehrt uns die Rechtsvergleichung?
Chile schließt sich dem internationalen Trend an, die Datenschutzgesetze zu modernisieren. Die Rechtsvergleichung bietet wertvolle Lehren darüber, mit welchen Maßnahmen Unternehmen diesen Herausforderungen mit besseren Ergebnissen begegnen können.
So verhängte beispielsweise im Januar 2026 die französische Datenschutzbehörde Geldstrafen in Gesamthöhe von 42 Millionen Euro gegen zwei Telekommunikationsanbieter, nachdem ein Angreifer Zugriff auf Daten im Zusammenhang mit 24 Millionen Verträgen erlangt hatte. Die Untersuchung deckte Mängel in der Sicherheitsarchitektur beider Unternehmen auf, darunter eine unzureichende Remote-Authentifizierung, ineffiziente Kontrollen gegenüber anomalem Verhalten und die unrechtmäßige Speicherung von Daten ehemaliger Kunden.
Andererseits zeigen Fälle, in denen Sicherheitsmaßnahmen, die Kooperation mit der Behörde und eine rechtzeitige Reaktion die Folgen einer Sicherheitsverletzung erheblich mildern konnten. Im Jahr 2019 schlug die britische Behörde Marriott eine Geldbuße von 99,2 Millionen Pfund für eine Sicherheitsverletzung vor, die 339 Millionen Datensätze offenlegte. Die Sanktion betrug nach Berücksichtigung u. a. der getätigten Sicherheitsinvestitionen, der Kooperation des Unternehmens bei der Untersuchung und der getroffenen Maßnahmen zur Schadensbegrenzung schließlich nur noch 18,4 Millionen Pfund.
Die Herausforderung besteht darin, von einem deklaratorischen Schutz zu einer effektiven Kontrolle überzugehen. Die am besten vorbereiteten Unternehmen werden nicht notwendigerweise diejenigen sein, die über das größte Budget verfügen, sondern jene, die in der Lage sind, zu antworten und nachzuweisen, welche Daten sie verarbeiten, zu welchem Zweck, wo sie diese aufbewahren, wer darauf zugreifen kann und mit wem sie diese teilen. Die ernsthafte Auseinandersetzung mit dem Datenschutz beginnt vor dem ersten Vorfall.
Mauricio Moreno